Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO
Anlage 1 zu den Allgemeinen Geschäftsbedingungen für das AI-Act-Coach-Abonnement
Fassung v1.1, gültig ab 22. August 2026
zwischen dem Kunden – nachfolgend „Verantwortlicher“ –
und der 1516 Consulting GmbH, Annenstraße 8, 27472 Cuxhaven – nachfolgend
„Auftragsverarbeiter“.
§ 1 Gegenstand und Dauer
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des
Verantwortlichen, soweit dies zur Erbringung der Leistungen aus dem Hauptvertrag erforderlich
ist. Gegenstand, Art und Zweck der Verarbeitung, die Kategorien betroffener Personen und die
Arten personenbezogener Daten ergeben sich aus Anhang 1.
(2) Dieser Vertrag beginnt mit dem Hauptvertrag und endet mit ihm. Er gilt darüber hinaus fort,
bis alle personenbezogenen Daten nach § 9 gelöscht oder zurückgegeben sind.
(3) Nicht Gegenstand dieses Vertrags sind Verarbeitungen, die der Auftragsverarbeiter als
eigener Verantwortlicher vornimmt – insbesondere Kundenverwaltung, Vertragsabwicklung,
Abrechnung, Mahnwesen und der Betrieb seiner Website. Anhang 4 grenzt beides ab.
§ 2 Weisungsrecht
(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des
Verantwortlichen. Als Weisung gelten: dieser Vertrag mit seinen Anhängen, die
Leistungsbeschreibung des Hauptvertrags und die Einstellungen, die der Verantwortliche im
Kundenkonto vornimmt.
(2) Weisungen erteilt der Verantwortliche in Textform an info@ai-act-coach.com oder über das
Kundenkonto. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.
(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der
Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er darf
die Ausführung bis zur Klärung aussetzen.
(4) Ist der Auftragsverarbeiter aufgrund von Rechtsvorschriften der Europäischen Union oder
ihrer Mitgliedstaaten zu einer Verarbeitung verpflichtet, teilt er dem Verantwortlichen die
rechtlichen Anforderungen vor der Verarbeitung mit, sofern die Rechtsvorschrift dies nicht
verbietet.
(5) Der Auftragsverarbeiter verarbeitet die Daten nicht für eigene Zwecke. Auswertungen zur
Verbesserung der Plattform erstellt er ausschließlich auf Grundlage vollständig
anonymisierter Daten. Ein Training von KI-Modellen mit den Daten des Verantwortlichen findet
nicht statt.
§ 3 Vertraulichkeit
(1) Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit
verpflichtet und mit den einschlägigen Datenschutzvorschriften vertraut gemacht worden sind.
Das gilt auch für externe Mitarbeitende.
(2) Der Zugriff wird auf die Personen beschränkt, die ihn zur Erfüllung ihrer Aufgaben
benötigen.
(3) Die Verpflichtungen bestehen nach Beendigung der Tätigkeit fort.
§ 4 Technische und organisatorische Maßnahmen
(1) Der Auftragsverarbeiter trifft die in Anhang 2 beschriebenen technischen und
organisatorischen Maßnahmen nach Art. 32 DSGVO.
(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie
anpassen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen
dokumentiert er und teilt sie auf Anfrage mit.
(3) Der Auftragsverarbeiter überprüft die Wirksamkeit der Maßnahmen bei gegebenem Anlass,
mindestens jedoch jährlich, und dokumentiert das Ergebnis.
§ 5 Weitere Auftragsverarbeiter
(1) Der Verantwortliche erteilt die allgemeine Genehmigung, weitere Auftragsverarbeiter
hinzuzuziehen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten sind in Anhang 3
aufgeführt.
(2) Der Auftragsverarbeiter wählt sie sorgfältig aus, prüft ihre Eignung und verpflichtet sie
vertraglich auf Datenschutzpflichten, die den Pflichten aus diesem Vertrag entsprechen.
(3) Beabsichtigt der Auftragsverarbeiter, einen weiteren Auftragsverarbeiter hinzuzuziehen
oder auszutauschen, teilt er das dem Verantwortlichen mindestens vier Wochen vorher in
Textform mit. Der Verantwortliche kann innerhalb von zwei Wochen aus wichtigem, sachlich
datenschutzbezogenem Grund widersprechen.
(4) Widerspricht der Verantwortliche und lässt sich die Leistung ohne den betreffenden
weiteren Auftragsverarbeiter nicht in vergleichbarer Weise erbringen, kann jede Partei den
Hauptvertrag zum Wirksamwerden der Änderung kündigen. Im Voraus gezahlte Vergütung wird
zeitanteilig erstattet.
(5) Der Auftragsverarbeiter stellt dem Verantwortlichen die Angaben nach Anhang 3 – Name,
Anschrift, Verarbeitungsgegenstand, Ort der Verarbeitung – jederzeit zur Verfügung und hält
sie aktuell. Die Verträge mit weiteren Auftragsverarbeitern legt er auf Verlangen vor;
Geschäftsgeheimnisse und Angaben Dritter darf er dabei unlesbar machen.
(6) Kommt ein weiterer Auftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der
Auftragsverarbeiter nach Art. 28 Abs. 4 DSGVO.
(7) Keine weiteren Auftragsverarbeiter sind Leistungen, die die Verarbeitung nur begleiten –
insbesondere Telekommunikations- und Postdienste, reine Infrastrukturwartung sowie
weisungsfreie Fachleistungen von Berufsträgern.
§ 6 Übermittlung in Drittländer
(1) Eine Verarbeitung außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums
findet nur statt, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind, und nur
soweit sie in Anhang 3 ausgewiesen ist.
(2) Der Auftragsverarbeiter dokumentiert die Grundlage jeder solchen Übermittlung, nimmt die
erforderliche Bewertung der Wirksamkeit der Garantien vor und stellt dem Verantwortlichen
eine Kopie der Garantien auf Anfrage bereit.
(3) Die Verarbeitung findet in Rechenzentren innerhalb der Europäischen Union statt. Soweit
im Einzelfall ein Zugriff aus einem Drittland – insbesondere im Rahmen von Wartung und
Störungsbeseitigung durch einen weiteren Auftragsverarbeiter – nicht ausgeschlossen werden
kann, erfolgt er auf Grundlage der Standardvertragsklauseln der Europäischen Kommission nebst
ergänzenden Maßnahmen.
§ 7 Unterstützung des Verantwortlichen
(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anträgen
betroffener Personen nach Art. 15 bis 22 DSGVO, soweit ihm dies angesichts der Art der
Verarbeitung möglich ist. Er stellt dafür im Kundenkonto Auskunfts-, Export-, Berichtigungs-
und Löschfunktionen bereit.
(2) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er die
Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst.
(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Art. 32
bis 36 DSGVO, insbesondere bei der Führung des Verzeichnisses von Verarbeitungstätigkeiten und
bei einer Datenschutz-Folgenabschätzung.
§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten
(1) Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt,
meldet er sie dem Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach
Kenntnis.
(2) Die Meldung enthält, soweit verfügbar: Art und Zeitpunkt der Verletzung, betroffene
Datenarten und Kategorien betroffener Personen, wahrscheinliche Folgen sowie ergriffene und
vorgeschlagene Maßnahmen. Fehlende Angaben liefert der Auftragsverarbeiter nach.
(3) Die Meldung erfolgt an die vom Verantwortlichen im Kundenkonto hinterlegte Adresse.
(4) Die Frist nach Absatz 1 ist eine vertragliche Zusage. Die Frist des Art. 33 Abs. 1 DSGVO
gegenüber der Aufsichtsbehörde trifft den Verantwortlichen.
§ 9 Löschung, Rückgabe und Übergangszeitraum
(1) Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter alle personenbezogenen
Daten oder gibt sie zurück – nach Wahl des Verantwortlichen – und löscht vorhandene Kopien.
Der Verantwortliche teilt seine Wahl bis zum Ende des Hauptvertrags mit; ohne Mitteilung gilt
die Löschung als gewählt.
(2) Der Verantwortliche weist den Auftragsverarbeiter an, die nachstehenden Daten nach
Beendigung des Hauptvertrags für einen Übergangszeitraum weiter vorzuhalten, damit der
Verantwortliche sie exportieren, an einen anderen Anbieter übergeben oder den Vertrag
fortsetzen kann:
a) erzeugte Dokumente einschließlich der ihnen zugrunde liegenden Antwortstände:
drei Jahre ab dem Ende des Kalenderjahres, in dem der Hauptvertrag endete,
b) Nachweise über abgeschlossene Schulungen: 18 Monate ab Beendigung des Hauptvertrags.
(3) Für den Übergangszeitraum gilt: Der Auftragsverarbeiter hält die Daten ausschließlich
vorhaltend bereit, verarbeitet sie nicht weiter, wertet sie nicht aus und beschränkt den
Zugriff auf die dafür erforderlichen Personen. Dieser Vertrag gilt für den
Übergangszeitraum fort.
(4) Der Verantwortliche kann die Anweisung nach Absatz 2 jederzeit ganz oder teilweise
widerrufen und die sofortige Löschung verlangen. Der Auftragsverarbeiter setzt das
unverzüglich um.
(5) Der Verantwortliche ist für die datenschutzrechtliche Grundlage der Vorhaltung nach
Absatz 2 verantwortlich und nimmt sie in sein Verzeichnis von Verarbeitungstätigkeiten und
in seine Informationen nach Art. 13 und 14 DSGVO auf.
(6) Die Löschung erfasst auch Datensicherungen. Soweit eine sofortige Löschung aus
Datensicherungen mit unverhältnismäßigem Aufwand verbunden ist, erfolgt sie mit dem
planmäßigen Überschreiben des jeweiligen Sicherungsbestands. Der Auftragsverarbeiter stellt
durch geeignete Verfahren sicher, dass gelöschte Daten bei einer Wiederherstellung nicht
erneut in den laufenden Betrieb gelangen, und dokumentiert dies.
(7) Unberührt bleiben gesetzliche Aufbewahrungspflichten, denen der Auftragsverarbeiter
selbst unterliegt. Sie betreffen ausschließlich Unterlagen aus seiner eigenen
Verantwortlichkeit nach § 1 Absatz 3, insbesondere Rechnungen und Buchungsbelege.
(8) Der Auftragsverarbeiter bewahrt Dokumentationen, die dem Nachweis der auftrags- und
ordnungsgemäßen Datenverarbeitung dienen, über das Vertragsende hinaus auf. Das
Auslieferungsprotokoll wird hierfür 24 Monate aufbewahrt; es enthält Dokumentkennung,
Fassung, Zeitpunkt, Kontokennung und Prüfsumme, jedoch keine Dokumentinhalte.
(9) Der Auftragsverarbeiter bestätigt die Löschung auf Anfrage in Textform.
(10) Ein Zurückbehaltungsrecht an den Daten des Verantwortlichen besteht nicht. Die §§ 273
BGB und 369 HGB sind insoweit abbedungen.
§ 10 Nachweise und Überprüfungen
(1) Der Auftragsverarbeiter weist die Einhaltung dieses Vertrags nach. Er stellt dem
Verantwortlichen dafür im Kundenkonto ein jährlich aktualisiertes Nachweispaket bereit:
Beschreibung der technischen und organisatorischen Maßnahmen, Liste der weiteren
Auftragsverarbeiter, Löschkonzept sowie – soweit vorhanden – Prüfberichte und
Zertifizierungen.
(2) Genügt das Nachweispaket nicht, kann der Verantwortliche ergänzende schriftliche Auskunft
oder eine Fernprüfung verlangen. Eine Fernprüfung ist einmal je Kalenderjahr unentgeltlich;
die Parteien stimmen Zeitpunkt und Umfang vorher ab.
(3) Eine Prüfung vor Ort kann der Verantwortliche verlangen, wenn ein konkreter Anlass
besteht – insbesondere nach einer Verletzung des Schutzes personenbezogener Daten, bei
begründeten Zweifeln an der Einhaltung dieses Vertrags oder auf Anordnung einer
Aufsichtsbehörde. Sie erfolgt zu den üblichen Geschäftszeiten, nach Ankündigung mit
angemessener Frist und ohne Störung des Betriebsablaufs. Für Prüfungen vor Ort ohne konkreten
Anlass kann der Auftragsverarbeiter den angemessenen Aufwand berechnen.
(4) Der Verantwortliche kann die Überprüfung durch einen von ihm beauftragten Prüfer
durchführen lassen. Der Prüfer ist zur Vertraulichkeit zu verpflichten.
(5) Die Rechte nach diesem Paragraphen gelten entsprechend für die Prüfung weiterer
Auftragsverarbeiter; der Auftragsverarbeiter wirkt dabei mit.
§ 11 Verzeichnis des Auftragsverarbeiters
Der Auftragsverarbeiter führt ein Verzeichnis der in seinem Auftrag durchgeführten
Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
§ 12 Haftung
(1) Für die Haftung gilt Art. 82 DSGVO.
(2) Im Verhältnis der Parteien zueinander gelten ergänzend die Haftungsregelungen des
Hauptvertrags.
(3) Verarbeitet der Auftragsverarbeiter Daten auf eine rechtswidrige Weisung des
Verantwortlichen, stellt der Verantwortliche ihn von Ansprüchen Dritter frei, soweit der
Auftragsverarbeiter auf die Rechtswidrigkeit hingewiesen hat oder sie für ihn nicht erkennbar
war.
§ 13 Schlussbestimmungen
(1) Widersprechen sich dieser Vertrag und der Hauptvertrag, gilt für die Verarbeitung
personenbezogener Daten dieser Vertrag.
(2) Änderungen bedürfen der Textform. Für Änderungen gilt § 20 der Allgemeinen
Geschäftsbedingungen entsprechend.
(3) Es gilt deutsches Recht.
Anhang 1 – Gegenstand der Verarbeitung
Zweck: Bereitstellung der Plattform, Erhebung von Angaben zu Unternehmen und KI-Systemen,
Erzeugung von Dokumenten, Durchführung und Nachweis von Schulungen.
Art der Verarbeitung: Erheben, Speichern, Ordnen, Verwenden, Übermitteln an den
Verantwortlichen, Löschen.
Kategorien betroffener Personen: Beschäftigte des Verantwortlichen und für ihn tätige
Personen, insbesondere benannte Verantwortliche für KI-Systeme, Personen mit
Aufsichtsfunktion, Teilnehmende an Schulungen sowie die das Konto führende Person.
Arten personenbezogener Daten: Name, dienstliche Kontaktdaten, Funktion und Rolle im
Unternehmen, Zugangsdaten, Kursfortschritt, Testergebnisse, Angaben in
Teilnahmebescheinigungen, Protokolldaten zur Nutzung.
Besondere Kategorien nach Art. 9 DSGVO: keine. Der Verantwortliche gibt keine solchen Daten
in die Plattform ein.
Ort der Verarbeitung: Rechenzentren innerhalb der Europäischen Union.
Anhang 2 – Technische und organisatorische Maßnahmen
Physische Sicherheit
Die Verarbeitung findet ausschließlich in den Rechenzentren des in Anhang 3 genannten
Hosting-Dienstleisters statt. Zutrittskontrolle, Brandschutz, unterbrechungsfreie
Stromversorgung und Zutrittsprotokollierung werden dort vorgehalten. In den Geschäftsräumen
des Auftragsverarbeiters werden keine personenbezogenen Daten des Verantwortlichen
dauerhaft gespeichert.
Identifizierung und Autorisierung
Der Zugang zur Plattform erfolgt über persönliche Benutzerkonten mit Kennwort. Kennwörter
werden ausschließlich als Hashwert gespeichert; eine Wiederherstellung im Klartext ist nicht
möglich. Administrative Zugänge werden namentlich zugeordnet, nur an Personen vergeben, die
sie zur Aufgabenerfüllung benötigen, und bei Wegfall der Aufgabe entzogen. Vergabe und Entzug
werden dokumentiert.
Zugriffskontrolle und Rollenkonzept
Die Plattform kennt abgestufte Rollen: Kontoinhaber des Kundenunternehmens, von ihm
eingeladene Nutzerinnen und Nutzer sowie Administration des Auftragsverarbeiters. Jede Rolle
erhält nur die zur Aufgabenerfüllung erforderlichen Rechte.
Mandantentrennung
Jeder Datensatz trägt eine eindeutige Kennung des Kundenunternehmens. Abfragen im
Kundenbereich sind auf die Kennung des angemeldeten Kontos beschränkt. Beim Abruf eines
erzeugten Dokuments wird zusätzlich geprüft, ob die Kennung des Dokuments mit der Kennung des
abrufenden Kontos übereinstimmt; andernfalls wird der Abruf abgewiesen.
Schutz bei der Übermittlung
Alle Verbindungen zur Plattform sind transportverschlüsselt (TLS). Unverschlüsselte
Verbindungen werden auf verschlüsselte umgeleitet. Der Versand von System- und
Benachrichtigungs-E-Mails erfolgt über einen authentifizierten Versanddienst mit
SPF- und DKIM-Absenderprüfung.
Pseudonymisierung und Datenminimierung
Protokolle der Dokumentauslieferung enthalten Dokumentkennung, Fassung, Zeitpunkt,
Kontokennung und Prüfsumme, jedoch keine Dokumentinhalte und keine vollständige IP-Adresse.
Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO werden nicht erhoben.
Integrität und Protokollierung
Änderungen an Konfiguration, Benutzerkonten und Inhalten werden protokolliert.
Erzeugte Kundendokumente werden nach der Auslieferung unveränderlich vorgehalten und über
eine Prüfsumme gegen nachträgliche Veränderung abgesichert.
Verfügbarkeit, Belastbarkeit und Wiederherstellbarkeit
Der Hosting-Dienstleister führt regelmäßige Datensicherungen durch. Die Wiederherstellbarkeit
wird anlassbezogen überprüft. Datensicherungen sind in die Löschprozesse nach § 9 Absatz 6
einbezogen.
Begrenzte Speicherdauer
Serverprotokolle werden nach sieben Tagen gelöscht, sicherheitsbezogene Protokolle nach
30 Tagen. Nie abgesendete Formularentwürfe werden nach 30 Tagen gelöscht. Für die übrigen
Daten gelten die Fristen aus § 9.
Vertraulichkeit der eingesetzten Personen
Alle zur Verarbeitung eingesetzten Personen sind zur Vertraulichkeit verpflichtet und mit den
einschlägigen Datenschutzvorschriften vertraut gemacht worden.
Überprüfungsverfahren und IT-Governance
Der Auftragsverarbeiter überprüft die Wirksamkeit der vorstehenden Maßnahmen bei gegebenem
Anlass, mindestens jedoch jährlich, und dokumentiert das Ergebnis. Sicherheitsrelevante
Aktualisierungen der eingesetzten Software werden zeitnah eingespielt.
Anhang 3 – Weitere Auftragsverarbeiter
Zum Zeitpunkt des Vertragsschlusses setzt der Auftragsverarbeiter weitere
Auftragsverarbeiter in den folgenden Bereichen ein:
1. Hosting und Betrieb der Plattform – Kinsta
Gegenstand: Betrieb der Server, Speicherung der Anwendungsdaten, Datensicherung
Ort der Verarbeitung: Europäische Union
2. Auslieferungsnetz und Angriffsschutz – Cloudflare
Gegenstand: Auslieferung der Website, Transportverschlüsselung, Abwehr von Angriffen;
verarbeitet werden Verbindungsdaten einschließlich IP-Adresse
Ort der Verarbeitung: Europäische Union
3. Versand von System- und Benachrichtigungs-E-Mails
Gegenstand: Versand von Einladungs-, Bestätigungs- und Systemnachrichten durch einen
E-Mail-Versanddienstleister
Ort der Verarbeitung: Europäische Union
Die vollständige Liste dieser weiteren Auftragsverarbeiter mit Firmierung, Anschrift,
Verarbeitungsgegenstand und Ort der Verarbeitung stellt der Auftragsverarbeiter dem
Verantwortlichen im Kundenkonto bereit und übermittelt sie auf Anfrage in Textform. Sie ist
Bestandteil dieses Anhangs. Für Änderungen gilt § 5 Absatz 3 und 4; für Drittlandbezug gilt
§ 6 Absatz 3 entsprechend.
Anhang 4 – Abgrenzung eigener Verantwortlichkeit
Der Auftragsverarbeiter verarbeitet als eigener Verantwortlicher: Vertrags- und
Abrechnungsdaten, Kommunikation mit dem Verantwortlichen, Zugriffsprotokolle zur Sicherung
des Betriebs, Daten zur Erfüllung eigener steuer- und handelsrechtlicher Pflichten.
Als eigene Verantwortliche treten gegenüber dem Auftragsverarbeiter auf: die von ihm
eingesetzten Zahlungsdienstleister sowie beauftragte Berufsträger.